Depuis notre bureau au Fray Luis de León 3, au cœur de Valladolid, nous accompagnons les PME, les cabinets professionnels et les entités de Castille-et-León dans leur mise en conformité avec le Règlement Général sur la Protection des Données (UE) 2016/679 (RGPD) et la LOPDGDD (loi organique 3/2018 sur la protection des données). Accompagnement en présentiel ou à distance, sans modèles génériques : chaque projet part de la réalité concrète de votre organisation.
Le tissu économique de Valladolid est varié et dynamique : PME industrielles et agroalimentaires, cabinets d'avocats et de conseil fiscal, cliniques et cabinets de santé, copropriétés, agences immobilières, établissements d'enseignement et commerces de proximité. Toutes ces organisations, quelle que soit leur taille ou leur secteur, traitent des données personnelles de clients, d'employés ou de fournisseurs et sont soumises au Règlement Général sur la Protection des Données et à la loi organique 3/2018 relative à la protection des données à caractère personnel et à la garantie des droits numériques. L'AEPD (Agencia Española de Protección de Datos — Agence espagnole de protection des données) contrôle le respect de la réglementation sur l'ensemble du territoire national et peut ouvrir des procédures d'investigation à l'encontre de toute entité n'ayant pas mis en œuvre les mesures techniques et organisationnelles exigées par la loi.
Summum Consultoría dispose d'un siège physique au Fray Luis de León 3, 2B, 47002 Valladolid, ce qui nous permet d'offrir un accompagnement en présentiel à nos clients vallisolétains tout en travaillant à distance avec des organisations de toute la province et de Castille-et-León. Cela fait plus de quinze ans que nous accompagnons des PME et des entités de la région dans leurs démarches de mise en conformité au RGPD, et nous connaissons de première main l'environnement réglementaire régional ainsi que les secteurs économiques les plus représentés dans la ville : industrie automobile de sous-traitance, agroalimentaire, services et commerce de proximité.
Notre point de départ est toujours un diagnostic honnête de la situation réelle de l'organisation : quelles données personnelles sont traitées, à quelles fins, quels tiers — sous-traitants — y ont accès et quelles mesures techniques et organisationnelles sont déjà en place. À partir de ce diagnostic, nous concevons un plan de mise en conformité proportionné à la taille et au niveau de risque de l'organisation, nous développons la documentation obligatoire : registre des activités de traitement, mentions d'information, politique de confidentialité, contrats avec les sous-traitants et procédures de gestion des droits des personnes concernées, et nous formons les membres de l'équipe qui traitent des données personnelles au quotidien. Nous ne nous substituons pas à l'AEPD et ne garantissons pas l'issue d'une procédure de sanction, mais nous veillons à ce que l'organisation agisse de manière ordonnée et dispose de la documentation que le régulateur s'attend à trouver.
Nous travaillons régulièrement avec des cabinets de conseil et des professions libérales, des cliniques et centres de santé, des agences immobilières et des administrateurs de biens, des établissements d'enseignement et de formation, des entreprises du secteur hôtelier et des copropriétés de la province. Nous collaborons également avec des entités liées à la Junta de Castilla y León et à la Diputación Provincial de Valladolid, qui, en tant que responsables du traitement, sont soumises au RGPD avec la même rigueur que le secteur privé. Lorsque l'organisation le requiert (ou lorsque la réglementation l'impose), nous proposons également le service de Délégué à la Protection des Données externe (DPD), en agissant comme interlocuteurs auprès de l'AEPD et en assurant une supervision continue du système de protection des données.
Nous analysons l'ensemble des traitements de données personnelles réalisés par l'organisation : finalités, bases juridiques, catégories de données, flux internes et externes, mesures de sécurité existantes et lacunes de conformité par rapport au RGPD et à la LOPDGDD. Le résultat est un rapport de situation clair qui sert de point de départ au plan de mise en conformité.
Nous concevons le registre des activités de traitement, les mentions d'information et la politique de confidentialité, les contrats de sous-traitance avec les prestataires externes et les procédures de gestion des droits des personnes concernées (accès, rectification, effacement, opposition, portabilité et limitation). Toute la documentation est adaptée au secteur et à la réalité de l'entreprise.
Nous formons les membres de l'équipe qui traitent des données personnelles : ce qu'ils peuvent ou ne peuvent pas faire, comment détecter et gérer une violation de données et comment traiter une demande d'exercice de droits. La formation peut être dispensée en présentiel dans les locaux de l'entreprise à Valladolid ou en format en ligne, et est documentée comme preuve de conformité.
Le RGPD n'est pas une mise en conformité ponctuelle mais un système de gestion vivant : nous intégrons les évolutions réglementaires ou opérationnelles, révisons les contrats avec les sous-traitants lorsque les prestataires changent, mettons à jour le registre des activités et restons disponibles pour accompagner tout incident ou répondre à toute question. En cas de violation de données, nous accompagnons l'organisation dans l'évaluation du risque et, le cas échéant, dans la notification à l'AEPD dans le délai de 72 heures prévu à l'art. 33 RGPD.
Le détail opérationnel : ce que nous livrons dans le cadre du travail et ce que nous maintenons vivant ensuite.
Registre des activités de traitement
Document central du système de protection des données, exigé par l'art. 30 RGPD : il recense l'ensemble des traitements de données personnelles, leurs finalités, bases juridiques, durées de conservation et mesures de sécurité appliquées.
Mentions d'information et politique de confidentialité
Rédaction des textes juridiques qui satisfont à l'obligation d'information prévue aux arts. 13 et 14 RGPD : formulaires de collecte de données, avis de confidentialité sur le site web, clauses dans les contrats et les communications avec les clients et les employés.
Contrats avec les sous-traitants
Révision et rédaction des accords avec les prestataires qui accèdent à des données personnelles (art. 28 RGPD) : éditeurs de logiciels, cabinets comptables, services en nuage, prestataires de maintenance informatique et tout autre sous-traitant externe.
DPD externe (Délégué à la Protection des Données)
Désignation et exercice des fonctions de Délégué à la Protection des Données prévues à l'art. 37 RGPD : supervision du système, interlocution avec l'AEPD, conseil interne et réponse aux questions du personnel.
Formation et sensibilisation de l'équipe
Sessions de formation adaptées au secteur et au rôle de chaque employé, avec documentation de la participation comme preuve de conformité auprès de l'AEPD. Disponible en présentiel à Valladolid ou en format en ligne.
Gestion des droits des personnes concernées
Conception de la procédure interne pour traiter les demandes d'accès, de rectification, d'effacement, d'opposition, de portabilité et de limitation du traitement dans les délais prévus à l'art. 12 RGPD, avec des modèles de réponse et un registre des demandes traitées.
La protection des données à Valladolid est le cœur d'un système de conformité plus large qui inclut le Délégué à la Protection des Données externe, la gestion des violations de données et le traitement spécialisé par secteur, des outils que Summum Consultoría propose de manière intégrée depuis son siège dans la capitale castillane.
Mise en conformité complète au RGPD pour tout type d'organisation : registre des activités de traitement, bases juridiques, contrats avec les sous-traitants, mentions d'information et système de gestion de la confidentialité créé de zéro ou révision de l'existant.
Voir le service → consultoríaService de Délégué à la Protection des Données externe pour les organisations qui en ont besoin par obligation légale ou pour renforcer leur système de confidentialité : supervision continue et interlocution directe avec l'AEPD depuis Valladolid.
Voir le service → consultoríaProtocole de réponse aux incidents de sécurité impliquant des données personnelles : évaluation du risque, notification à l'AEPD dans un délai de 72 heures (art. 33 RGPD) et communication aux personnes concernées lorsque le risque est élevé.
Voir le service →Oui. Le RGPD s'applique à toute organisation — publique ou privée, grande ou petite — qui traite des données personnelles de personnes physiques dans l'Union européenne, quelle que soit sa taille ou son secteur. Cela inclut les travailleurs indépendants, les micro-entreprises, les copropriétés, les associations et les organisations à but non lucratif. La LOPDGDD (LO 3/2018) transpose le RGPD dans l'ordre juridique espagnol et renforce les obligations d'information et les droits des citoyens. Il n'existe aucun seuil de chiffre d'affaires ou d'effectif qui exempterait une entreprise de se conformer à la réglementation.
L'art. 37 RGPD établit trois cas d'obligation : lorsque le responsable du traitement ou le sous-traitant est une autorité ou un organisme public ; lorsque les activités principales consistent en des opérations de traitement qui exigent un suivi régulier et systématique des personnes concernées à grande échelle ; et lorsque des catégories particulières de données sont traitées à grande échelle (santé, convictions idéologiques, orientation sexuelle, données pénales, etc.). La LOPDGDD étend ces cas dans son art. 34, incluant notamment les établissements d'enseignement, les entités d'assurance, les établissements financiers et les opérateurs de télécommunications. En dehors des cas obligatoires, disposer d'un DPD externe demeure une bonne pratique qui renforce la crédibilité du système.
Le régime de sanctions de l'art. 83 RGPD prévoit deux niveaux. Les infractions moins graves (telles que les manquements relatifs au registre des activités de traitement, art. 30, ou aux contrats de sous-traitance, art. 28) peuvent entraîner des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total, le montant le plus élevé étant retenu. Les infractions les plus graves — violation des principes du traitement, absence de base juridique ou non-respect des droits des personnes concernées — peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial. L'AEPD prend en compte comme circonstances atténuantes la coopération avec le régulateur, l'adoption de mesures correctives et la diligence préalable démontrée.
Le délai dépend de la taille de l'organisation, du nombre de traitements effectués et de son point de départ. Pour une PME de taille moyenne comptant entre cinq et vingt employés et réalisant des traitements courants (clients, employés, fournisseurs), le processus de mise en conformité complète nécessite généralement entre quatre et huit semaines. Dans les organisations dont les traitements sont plus complexes — comme les centres de santé, les établissements d'enseignement ou les entreprises disposant d'un grand volume de données clients — le délai peut être plus long. Dans tous les cas, commencer le plus tôt possible réduit le risque d'être exposé à une investigation de l'AEPD sans disposer de la documentation minimale requise.
Oui. Summum Consultoría dispose d'un bureau au Fray Luis de León 3, 2B, 47002 Valladolid, où nous pouvons nous réunir pour le diagnostic initial, la révision de la documentation et les sessions de formation de l'équipe. Pour les clients qui préfèrent travailler à distance ou pour les organisations situées dans d'autres provinces de Castille-et-León, nous proposons également un accompagnement entièrement en ligne sans aucune limitation dans la prestation du service. La combinaison de la présence locale et du travail à distance nous permet de nous adapter aux besoins de chaque client.